- Texte visé : Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 1112
- Stade de lecture : 1ère lecture (2ème assemblée saisie)
- Examiné par : Commission spéciale chargée d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Anne Le Hénanff
Agit en tant que rapporteure
Membre du groupe Horizons & Indépendants
Lien vers sa fiche complèteI. – À l’alinéa 3, supprimer les mots :
« ou est susceptible de causer ».
II. – À l’alinéa 4, supprimer les mots :
« ou est susceptible d’affecter ».
Les alinéas 3 et 4 de l’article 17 imposent la notification à l’ANSSI de tout incident, qu’il entraîne ou non une perturbation opérationnelle ou des dommages matériels, corporels ou moraux.
Si l’objectif de couvrir l’ensemble des incidents significatifs est compréhensible, la rédaction actuelle reste éloignée des réalités opérationnelles auxquelles sont confrontées les entités importantes et essentielles en cas de crise cyber. En pratique, tout incident déclenche immédiatement une réponse interne visant prioritairement le rétablissement du service.
Or, à ce stade, les entités ne disposent pas des moyens d’évaluer avec précision l’impact réel de l’incident ni d’anticiper d’éventuelles conséquences sur des tiers. La définition retenue apparaît donc trop large, disproportionnée et génératrice d’insécurité juridique.
Le présent amendement propose de limiter l’obligation de notification aux seuls incidents dont l’impact opérationnel est avéré et incontestable.